|
2 V5 h) J! s9 U0 K7 E
# h- o% T% l) ?2 T
+ T& s ~1 |7 R0 k- H7 a; c/ t F/ `* f8 A* _
1、网站弱口令getwebshell
t. F4 q6 r, | o
经过一番手工猜解找到网站后台，习惯性的用admin admin竟然进去了，浏览一番发现可以配置上传文件类型于是配置上传类型如图：
( P* H5 Q) @- ]- C: w
* D4 x4 f8 K; w# C
, ^# S' p% D; ~; r2 z: A
# g" [& @# y' Y$ k
) R8 D. ~: |$ h+ V/ H8 P' |2 x2 t然后去找地方上传，上传的时候发现虽然配置了asp、aspx但是仍然上不上去，还曾经一度用后台的sql命令用db权限备份一个webshell，但是由于权限设置问题导致拿webshell失败，抽了一支烟，沉思了半会，决定在增加个上传类型cer，看看果然可以成功上传，如图：
, E3 c% F2 [9 ^4 d+ Y Z- P) m
6 Y2 {( Y% G7 U
8 g& k4 M9 Q& R" T
' _3 N$ K) {/ K# _1 v. U2、各种方式尝试反弹3389
( c' o0 B* p" R
拿菜刀连接执行ipconfig /all,发现是内网，如图：
' A5 c1 ^# a7 `' J
; h! W& w: c! j. ?
% g+ D, x4 x8 T! z( C
服务器开了3389，下面我们想办法反弹出3389，笔者测试用lcx,tunna，reDuh，均以失败告终，貌似像开了TCP/IP筛选限制3389登陆，好吧我们想办法关闭掉这个，方法有两种一种是用mt.exe执行，笔者这里用修改注册表的方式修改，方法如下：
0 h# e3 r, z; S5 p* w
8 O8 N2 k, k% y6 v- s3 kTCP/IP筛选在注册表里有三处，分别是：
. L/ i+ B. {8 y7 Z2 P2 O6 d
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip
3 ? v; g- }! P8 z) {
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
- L! B7 n0 d# |* d( Z/ M
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
: E+ H6 K7 G( A4 _9 c4 @
8 g. @4 h0 G# S& K! G) F8 E1 I8 |5 U
导出到自己所指定的目录进行修改：
) O5 Y- e; F% `9 W" D
regedit -e D:\ 网站目录\1.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
`( \( ^3 j+ q* H! sregedit -e D:\ 网站目录\2.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
0 v: D/ U6 Y0 J5 f: wregedit -e D:\ 网站目录\3.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
( ?& h) @8 u& Z4 G4 B
+ ^* s: s% y7 t" u4 \
然后再把三个文件里中的：
( }2 [ p/ {! n/ b8 y' n
“EnableSecurityFilters"=dword:00000001”改为：“EnableSecurityFilters"=dword:00000000”
. Z1 z9 z( y% k1 J( `8 o, e再将以上三个文件分别导入注册表：
+ m7 `5 r$ q8 H2 A% F0 a; U
regedit -s D:\网站目录\1.reg
- ?. K* f4 I% l" N/ dregedit -s D:\网站目录\2.reg
8 {7 b. m$ l6 l( v
regedit -s D:\ 网站目录\3.reg
7 ]: Y* q; W! h) A' x重启服务器即可！
& D" l+ @; ]* E S" X& k( T8 Z
但是导出注册表打开看貌似不是TCP/IP筛选限制，因为找不到EnableSecurityFilters，好吧看来不是筛选限制，那怎么办，据说国外有很好的工具可以正则代理，我分析很有可能是做了安全策略导致的，因为我把防火墙相关的服务都关掉也不行，操家伙，工具名称叫：reGeorg-master，下面看我操作，先把这个代理脚本tunnel.aspx上传然后执行
3 A/ F' m" `1 w# J, E3 d) z
. k" g/ y5 U$ w% Q
2 l+ G& ]& o4 b# |& j6 ]$ h8 ?" K$ P
& W5 c- V. Q6 a9 ~" ]1 J
然后还需要安装个程序SocksCap，然后加载如图：
2 _; {, A- m- }' l
2 J4 W! G* l1 w M
, u4 q U; O6 ?下面我们开始用mstsc连接内网ip,首先连接10.177.2.14，结果连接不出来，连接另一个内网Ip 10.177.250.1也失败，后来干脆netstat –an一下发现目标机连接到10.177.2.11，端口是1433，如图：
2 h" A( h+ n' g4 D: W
* S0 [0 m3 j! ^0 I) a
2 w7 t$ a% S$ ~& b, A' X; |. E- v
+ y) T7 s5 ^) o" C! w
: N3 L$ z5 t0 O6 m( E! p
既然使用s5正向代理，那可以试着连接一下这台数据库服务器3389看看，连了一下果然是可以连通如图：
% a% N- P) H+ O) o4 _
2 g0 P; X( j5 O
, W6 g0 S# o/ u# O9 W
! H2 W3 |$ j7 X1 w/ `9 M
6 h0 l2 X$ R. d0 Y
2、数据库提权与ms15-051提权双进内网服务器
5 l3 a! ?: r' w& {3 ]* e* {7 z
OK，现在的思路是翻网站数据库配置文件，找找sa密码然后先给10.177.2.11提权，然后再在11里面连接目标3389，没翻到sa密码此处略去300字，不过翻到一个账号是sa权限，连接数据库执行命令如图：
" a1 ~3 P. q Y+ T
: c% D2 X$ l$ p: R: @* s8 n4 N5 S9 c
6 J" `% H% G. X
' F1 \5 g7 I" `& Z4 m# H添加账号密码的过程就不写了，肯定是可以进10.177.2.11了，下面我们还的给目标机添加账号密码，经提前测试，发现存在ms15-051漏洞，直接上exp执行命令如图：
2 x& N: ]; G( A
7 V# P7 z( n% T# i
: l! k! m& X1 ^: [- |
# w9 K+ N# i5 V$ M# x y' w同样添加账号密码，终于进了目标站的远程桌面如图：
: U+ B; M, m o" K9 y7 k
- b& S8 ~: c: Q* M
总结：至此这个网站的漏洞算是测试完了，测试中途有些卡顿，主要技术问题是反弹3389，测试各种反弹工具都失败，后来经验证不是做了TCP/IP筛选，我用远控也无法上线，貌点像通不了外网的样子，但疑惑的是为什么数据库服务器的3389却可以代理出来，同样在数据库服务器中远控也无法上线，如果有遇到过这样的朋友，请回贴不吝赐教。。。先在这里谢谢大家了。。。 % ?+ T8 p, {. l
7 q1 @6 O* V$ R) }; I- ~$ i" U1 O
9 z" P* c. ]$ X5 M! l7 _
1 F1 d* o! }- O# ~7 ^
| 
发表于 2018-10-20 20:16:49
收藏
支持
反对